iptables -t nat PREROUTING 规则不生效的边界情况汇总

iptables的PREROUTING规则在nat表中常因五类边界条件失效：未启用ip_forward或br_netFilter模块；插入顺序错误导致被前置规则拦截；DNAT后缺少FORWARD放行策略；本地回环流量不经过PREROUTING；误将规则写入filter表而非nat表。

iptables 的 PREROUTING 规则在 nat 表中负责修改刚进入网络栈、尚未确定最终目的地的数据包，但实际部署中常因一些“看似合理却隐性失效”的边界条件导致规则完全不触发。以下是高频、易忽略的几类边界情况，按技术逻辑归类说明：

内核 IP 转发未启用（对 DNAT 必须，redIRECT 也常受影响）

DNAT 规则（如 --to-destination）要求数据包后续能被转发到另一台主机，这依赖内核的路由转发功能。即使只是本机 REDIRECT，某些内核版本或容器/桥接环境（如 docker、KVM 桥接）也会因 br_netfilter 模块未加载或 ip_forward 关闭而跳过 PREROUTING 的 nat 处理。

• 检查命令：cat /proc/sys/net/ipv4/ip_forward 应为 1
• 临时启用：echo 1 > /proc/sys/net/ipv4/ip_forward
• 永久生效：在 /etc/sysctl.conf 中添加 net.ipv4.ip_forward = 1 并执行 sysctl -p
• 桥接场景额外检查：lsmod | grep br_netfilter；若无输出，需 modprobe br_netfilter 并写入 /etc/modules

规则插入位置错误（顺序优先于内容）

PREROUTING 链是严格顺序匹配的。一旦前面某条规则（如通用 DROP、REJECT 或更宽泛的 ACCEPT）已匹配并终止匹配流程，后面的 DNAT/REDIRECT 就永远不会执行——哪怕语法完全正确。

• 典型陷阱：系统默认策略后追加规则，例如已有 -A PREROUTING -j REJECT，再用 -A 追加的规则必然无效
• 正确做法：用 -I PREROUTING 1（插入第 1 行）确保最高优先级，例如：
  iptables -t nat -I PREROUTING 1 -p tcp --dport 80 -j REDIRECT --to-ports 8080
• 验证方式：iptables -t nat -L PREROUTING -v --line-numbers 查看包计数是否增长

目标地址不属于本机且未配 FORWARD 策略

当 PREROUTING 做 DNAT 把目的 IP 改为非本机地址（如 --to-destination 192.168.1.100），该包将进入 FORWARD 链。此时若 FORWARD 默认策略为 DROP 或无显式放行规则，包会被丢弃，DNAT 形同虚设。

• 必须确保：iptables -P FORWARD ACCEPT，或添加明确放行规则，例如：
  iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT
• 注意：仅配置 PREROUTING 不足以完成跨主机转发，FORWARD + ip_forward=1 是硬性组合条件

本地回环流量绕过 PREROUTING（最隐蔽的失效场景）

从本机发起、目的也是本机的连接（如 curl http://localhost:4567 或 curl http://127.0.0.1:4567）不会经过 PREROUTING 链，而是直走 OUTPUT → input 链。因此所有基于 PREROUTING 的端口重定向对本地访问均无效。

• 验证方法：用另一台机器访问服务 IP（如 curl http://192.168.1.50:4567），观察 PREROUTING 计数是否增加
• 本机测试替代方案：改用 OUTPUT 链做重定向（仅适用于本机程序监听）：
  iptables -t nat -A OUTPUT -p tcp --dport 4567 -j REDIRECT --to-ports 8443
• 统一处理方案（推荐）：PREROUTING + OUTPUT 双链配置，覆盖远程和本地两种路径

规则落在错误的表或链（nat 表 ≠ filter 表）

PREROUTING 属于 nat 表专用链，若误写成 filter 表（如漏掉 -t nat），规则会创建在 INPUT/FORWARD 链中，完全不参与地址转换。

• 常见错误写法：iptables -A PREROUTING -p tcp --dport 80 -j DNAT --to 192.168.1.100（缺 -t nat → 实际创建在 filter 表，报错或静默失败）
• 正确写法必须带表名：iptables -t nat -A PREROUTING ...
• 查看当前 nat 表规则：iptables -t nat -L -n -v，确认规则确实出现在 PREROUTING 下